沫延说
沫延说

关于CSRF攻击与Access-control-allow-origin配置安全性的探讨

定    义

CSRF全称Cross-site request forgery,中文作“跨站请求伪造”

是一种挟持用户在当前已登录的Web网站上执行非本意的操作的攻击方法。跟跨网站脚本(XSS)相比,XSS 利用的是用户对指定网站的信任,而CSRF 利用的是网站对用户(浏览器)的信任。

 

攻击流程

用户Client访问并登录可信站点A,浏览器获取并记录Cookie,在Cookie未失效时打开含有恶意代码的站点B,此时站点B中包含的恶意代码在用户有可能不知情的情况下,以用户身份执行某些操作,例如在站点A中执行转账操作。

 

跨域配置

Access-control-allow-origin头一般来说仅在需要时进行配置,意在允许指定域名跨域访问或调用本站资源,一般分两种情况:

情况一:

一般应用在开源公共库中:允许任意用户调用开源公共库中的js、字体等文件

此时开源公共库的Access-control-allow-origin应配置为*,即允许所有域名跨域访问或调用本站资源

情况二:

站点动静分离,js、css等文件使用CDN技术实现加速,加速域名与原站点域名不一致,即跨域访问

此时应配置静态资源所在的CDN节点的Access-control-allow-origin为主站域名,即允许主站跨域调用CDN节点资源

 

安全性分析

在本文第一次发布时,根据万维网联盟w3c网站关于Cross-Origin Resource Sharing推荐标准(截止2019年11月20日最新修订本为20140116版)第6.1中所述:

https://oss.topstalk.com/Blog-Datastore/2019/11/1647583936-w3c-TR-cors-6.1.jpg

其中第3条详细介绍了如果资源涉及凭证,除了增加“Access-control-allow-origin”标头Origin外还需要添加“Access-Control-Allow-Credentials”标头为“true”,也可以只设置“Access-control-allow-origin”标头Origin或“*”。

同时在注意中使用绿色文本标记了“The string “*” cannot be used for a resource that supports credentials.”,即字符串“*”不能用于涉及凭证的资源

 

也就是说,其实即便将“Access-control-allow-origin”标头设置为“*”,是否真正存在安全风险主要还是要看浏览器对w3c推荐标准的落地执行程度如何,如果严格执行w3c推荐标准,同时站点代码设计合规,理论上是可以防止CSRF发生的。

 

截止本文本次更新,万维网联盟w3c网站已经更新了关于Cross-Origin Resource Sharing推荐标准(标准更新日期为:2022年3月17日),在“通过 IP 身份验证或防火墙保护数据的资源”使用Access-Control-Allow-Origin: *时定义为不安全的,其他情况均已视为安全,其中“防火墙保护数据的资源”是指网站程序与用户之间存在防火墙或WAF,且网站程序无法获得用户的真实访问信息的情况。综上所述,在网站程序设计和配置上均合规的情况下,设置“Access-control-allow-origin”标头设置为“*”已不会导致CSRF情况。

 

 

没有标签
首页      信息安全      关于CSRF攻击与Access-control-allow-origin配置安全性的探讨

Morton.L

文章作者

发表回复

textsms
account_circle
email

沫延说

关于CSRF攻击与Access-control-allow-origin配置安全性的探讨
定    义 CSRF全称Cross-site request forgery,中文作“跨站请求伪造” 是一种挟持用户在当前已登录的Web网站上执行非本意的操作的攻击方法。跟跨网站脚本(XSS)相比,XSS 利用的是用…
扫描二维码继续阅读
2019-11-21